Frameworks – ISO 22301 (continuidade): o que a plataforma cobre
A ISO 22301 é a norma internacional de gestão de continuidade de negócios. Ela responde a uma pergunta diferente das outras normas da plataforma: se algo parar, quanto tempo a empresa aguenta, e como ela volta a operar?
Para quem serve
Para empresas cuja indisponibilidade tem custo real e visível. Os sinais:
- Clientes exigem compromissos de disponibilidade em contrato.
- A operação depende de sistemas que, parados, interrompem a receita.
- A empresa opera em setor regulado que exige plano de continuidade.
- Um incidente recente mostrou que a empresa não sabia como reagir.
Ela também aparece como exigência em processos de compra de empresas maiores, junto com a ISO 27001.
O que ela cobra, em linhas gerais
Quatro movimentos, nesta ordem:
Entender o que é crítico. Quais atividades a empresa não pode deixar de fazer, e por quanto tempo pode ficar sem cada uma.
Medir o impacto. Quanto custa a interrupção de cada atividade, e sob quais perspectivas: financeira, reputacional, legal, operacional.
Planejar a recuperação. O que fazer quando cada cenário acontece, com responsáveis e prazos definidos.
Testar o plano. Exercícios periódicos, com resultado registrado. Esta é a parte que mais empresa esquece, e a que o auditor mais cobra.
Dois termos que você vai encontrar
| Termo | A pergunta que ele responde |
|---|---|
| RTO | Em quanto tempo esta atividade precisa voltar a funcionar? |
| RPO | Quanto de dado a empresa pode perder sem consequência inaceitável? |
Eles parecem técnicos e são decisões de negócio. Quem define RTO e RPO não é a área de tecnologia sozinha: é quem responde pela atividade.
A ligação com o módulo Continuidade
Diferente das outras normas, o trabalho da ISO 22301 acontece principalmente em um módulo próprio, Continuidade de Negócios, que traz:
- Os critérios e escalas de impacto, que precisam ser definidos antes de tudo.
- O cadastro das atividades críticas, com RTO e RPO.
- A análise de impacto por perspectiva.
- O registro dos exercícios do plano.
Se a sua empresa habilitou esta norma, comece por lá. Os tutoriais da categoria Continuidade de Negócios cobrem essas telas.
⚠️ Este módulo depende de liberação para a sua empresa. Se ele não aparece no seu menu, fale com o seu contato comercial.
O que é comprovado automaticamente e o que não é
Aqui a expectativa precisa ser bem ajustada. Esta é, entre as normas da plataforma, uma das que menos se resolve por integração.
| Área | Como é comprovada |
|---|---|
| Backup e redundância de infraestrutura | Integrações, parcialmente |
| Atividades críticas, RTO e RPO | Cadastro no módulo Continuidade |
| Análise de impacto | Trabalho no módulo, com participação das áreas |
| Plano de continuidade e de recuperação | Documentos publicados |
| Exercícios e testes do plano | Registro dos exercícios, com resultado |
| Comunicação em crise, contatos, sucessão | Documentos e evidência |
A norma é sobre organização e ensaio, não sobre configuração de ferramenta.
Por onde começar
- Defina os critérios e escalas de impacto. Sem isso, a análise não funciona.
- Cadastre as atividades críticas, com RTO e RPO decididos junto com as áreas responsáveis.
- Faça a análise de impacto por perspectiva.
- Escreva o plano e publique como documento.
- Execute um exercício e registre o resultado, inclusive o que deu errado.
O que costuma dar ressalva
- Plano nunca testado. É a ressalva número um. Plano no papel, sem exercício registrado, não convence ninguém.
- RTO irrealista. Prometer retomada em uma hora sem ter a infraestrutura para isso é pior que assumir quatro horas.
- Análise de impacto feita só pela tecnologia, sem as áreas de negócio.
- Exercício registrado apenas quando dá certo. Um exercício que revelou falhas, com as correções registradas, vale mais que três exercícios perfeitos.
⚠️ Esta página descreve, em linguagem própria, o propósito e a estrutura geral da norma. Ela não reproduz o texto normativo. Para o conteúdo oficial, consulte a norma publicada pelo organismo responsável.
Este artigo foi útil?